SiteGuard Server EditionにOSコマンドインジェクションの脆弱性、root権限奪取の恐れ

要点

• EGセキュアソリューションズの「SiteGuard Server Edition」において、OSコマンドインジェクションの脆弱性（CVE-2026-106931）が確認された。

• 脆弱性が悪用された場合、攻撃者によってroot権限またはSYSTEM権限で任意のOSコマンドが実行される恐れがある。

• JPCERT/CCによるCVSS v4.0の基本値スコアは8.5で、深刻度は「HIGH」と評価されている。

• Apache httpd、Nginx、IIS向けなどの各エディションにおいて、Ver2.20以降の広範なバージョンが影響を受ける対象とされている。

• 米国の脆弱性情報データベース「National Vulnerability Database（NVD）」において、EGセキュアソリューションズ株式会社（EG Secure Solutions Inc.）が提供する「SiteGuard Server Edition」に関する脆弱性情報（CVE-2026-106931）が公開された。国内のセキュリティ情報調整機関であるJPCERT/CCがCNA（CVE番号付与機関）として登録したもので、NVD上では2026年9月23日付で登録され、10月14日に公開、10月20日に更新されている。対象システム上で任意のOSコマンドを実行されるリスクが報告されており、サーバーの最高管理者権限が掌握される危険性が示されている。

脆弱性の内容と想定されるリスク

元記事の記述によると、今回の脆弱性はCWE-78「OSコマンドインジェクション（OS Command Injection）」に分類されている。これは、外部からの入力値に含まれる特殊文字などを適切に無害化しないことで、意図しないOSコマンドが呼び出されてしまう欠陥を指す。

本脆弱性が悪用された場合、影響を受ける製品が稼働しているシステム上で、攻撃者が任意のOSコマンドを実行できる可能性があるという。実行されるコマンドの権限は、Linux環境における最高権限であるroot権限、あるいはWindows環境におけるSYSTEM権限におよぶとされる。対象製品が稼働するサーバーそのものの完全な制御権が侵害されるリスクが明記されている。

影響を受ける対象製品とバージョン

JPCERT/CCが公表した対象製品一覧によると、Webサーバーの種類やOS環境ごとに複数のエディションが該当する。具体的には以下の製品およびバージョンが影響を受ける対象として報告されている。

• SiteGuard Server Edition for Apache httpd：Ver2.20 以上 Ver8.00 Update 5 未満
• SiteGuard Server Edition for Nginx：Ver2.20 以上 Ver8.00 Update 5 未満
• SiteGuard Server Edition for IIS：Ver2.20 以上 Ver8.00 Update 5 未満
• SiteGuard Server Edition for Apache httpd on FreeBSD：Ver2.20 以上 Ver7.00 Update 6 未満
• SiteGuard Server Edition for Nginx on FreeBSD：Ver2.20 以上 Ver7.00 Update 6 未満

主要なWebサーバーであるApache httpdやNginxに加え、MicrosoftのIIS向けエディションが含まれている。さらにFreeBSD環境向けのエディションも対象となっており、いずれもバージョン2.20以降という長期にわたるバージョン帯が対象とされている。

CVSS v4.0による深刻度評価

本脆弱性の深刻度については、JPCERT/CCにより共通脆弱性評価システム「CVSS v4.0（情報システムの脆弱性における深刻度を評価・数値化する共通基準）」に基づく評価が行われている。

基本値（CVSS-B）は「8.5」と算出され、深刻度は「HIGH（高）」と判定された。評価ベクターは「CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N」である。

各評価項目（メトリクス）の内訳を見ると、攻撃元区分（Attack Vector）はローカル環境へのアクセスを前提とする「ローカル（AV:L）」と評価されている。攻撃の複雑さ（Attack Complexity）は「低（AC:L）」、攻撃要件（Attack Requirements）は「なし（AT:N）」で、必要な特権レベル（Privileges Required）は「低（PR:L）」、ユーザー関与（User Interaction）は「不要（UI:N）」と判定されている。

影響度に関しては、脆弱性のあるシステムにおける機密性・完全性・可用性のすべてで影響が「高（VC:H / VI:H / VA:H）」と評価された。一方、脆弱性のあるシステムを経由して影響が及ぶ後続システムへの影響（SC/SI/SA）はいずれも「なし（N）」と設定されている。

参照情報とデータベース上の取り扱い

元記事の参照情報には、複数の公式リンクが記載されている。日本の脆弱性ポータルJVNのアドバイザリ「JVN#88474777」や、EGセキュアソリューションズによるアラート告知「alert-202610-1」のほか、米サイバーセキュリティ・社会基盤安全保障庁（CISA）の悪用確認済み脆弱性カタログ（Known Exploited Vulnerabilities Catalog）への参照が含まれている。

なお、NVDの記載によれば、本レコードはリソース等の都合からNVD独自の詳細分析（enrichment efforts）の優先対象外（Not Scheduled）とされており、NVD独自のアセスメントスコアは未提供（N/A）となっている。現在提示されている評価値や詳細情報は、CNAであるJPCERT/CC提供のデータに基づいている。